[FunWorld]

#informatyka #it #sysadmin Czy Intermediate CA Certificate to to samo co chain certificate, albo bundle cert. przy certyfikacie SSL? Instaluje Rapid SSL i trochę mnie to zamotało.

[r.....u]

@FunWorld: tak

potem tu se testuj https://www.ssllabs.com/ssltest/

[FunWorld]

@rydwanwperdolu: Super, dzięki.
A wisz może, czy w ISP Config 3 wystarczy wkleić te 3 certyfikaty w te rubryki, czy trzeba dodawać to przeez SSH jak tutaj https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&actp=CROSSLINK&id=SO6252

Nie wiem, czy to robi to samo, czy to do czego innego jest.

[FunWorld]

@m__p: Dokładnie. Zaczęli motywować. Dopiero teraz zauważyłem, że da się za darmo zrobić i wczoraj $20 wycebuliłem na rapid ssl - chyba niepotrzebnie.

[r.....u]

@FunWorld: w SSL Bundle wklej tego chaina, w SSL Request nie trzeba nic - swoja droga CSR powinien byc wydzielony, w SSL Key to klucz prywatny jak nazwa mowi

[FunWorld]

@rydwanwperdolu: kurcze na różnych pleskach i cpanelach w życiu robiłem, ale w temacie SSL czuję się jak małpa z żyletk.

Czyli w bundle mam wkleić ten kod std: https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&actp=CROSSLINK&id=SO26462 ?

Wystarcz te 2 okna wypełnić, czy jeszcze jakiś pub albo coś innego?

Czuję się w tym temacie jak małpa z żyletka w ręce :/

[r.....u]

@FunWorld: sproboj w SSL Bundle wkleic to

http://pastebin.com/raw/CEVrcNwD

[FunWorld]

Chyba się udało. W przeglądarce kłódki nie widać, ale na teście mam C. Wystarczy?

[maniac777]

@FunWorld: moze wystarczy ale c to bardzo slabo.

Wroc... chain incomplete wiec nie wystarczy.

[FunWorld]

@maniac777: Dotąd nie miałem nic. Da się to jakoś łatwo upgradować, czy to nowy cert trzeba?

[maniac777]

@FunWorld: chain incomplete to blad konfikuracyjny. Tak samo jak wszystkie pozostale tu opisane.

[FunWorld]

A mogę wybrać inny chain?
https://knowledge.rapidssl.com/support/ssl-certificate-support/index?page=content&id=INFO1548

Wcześniej wkleiłem pierwszy RSA SHA-1 SSL

[maniac777]

@FunWorld: certyfikat posredni nie moze byc dowolny. Ma byc dokladnie ten ktorym zostal podpisany twoj.

W skrocie jest certyfikat ca. Jest on dolaczony do przegladarki jako zaufany. Tym certyfikatem jest podpisanych kilka certyfikatow postednich. Jednym z nich jest podpisany twoj certyfikat.

[FunWorld]

@maniac777: Przetestowałem na RapidSSL i tam mi właśnie podali, że nieprawidłowy miałem. Dali mi prawidłowy i teraz chyba jest OK, ale ciągle grade C, przez TLS1.0

[maniac777]

@FunWorld: tak. To kolejny problem ale juz mniej istotny niz chain incomplete. Mozliwe ze masz mocno stary system.

[FunWorld]

@maniac777: Od kilku lat poza aktualizacjami i dodatkowymi zabezpieczeniami jak blokowanie portów, biała lista SSH i podobne sprawy nic nie robiliśmy. Myślisz, że to duży problem? Działalność spokojna, raczej nie prowokujemy do ataków, ani nie trzymamy tam nic kontrowersyjnego ani cennego. Upgrade do TLS 1.2 to skomplikowana i czasochłonna praca?

[maniac777]

@FunWorld: Ja wszędzie staram się mieć "A+". Jak masz system aktualny to możliwe że nieumyślnie włączyłeś sobie nowsze wersje Pytanie co tam masz? Jakiś Debian? CentOS? Czy skomplikowane to właśnie zależy od tego czy to konfiguracyjnie sobie wyłączyłeś czy system trzeba podnieść do nowszej wersji. Jeżeli trzeba podnieść to zależy jaki to system i w jakiej wersji.

PS: Te wszystkie problemy to kwestia poufności, a właśnie w trosce o poufność stosuje

[FunWorld]

@maniac777: dedyk na Debian 6.0 konfigurowany w 2014 roku i jak pisałem niewiele zmieniane było. Pośrednik (powerpanel, support, etc...) z Ugandy( ͡° ͜ʖ ͡°) , a nie mam backupu całego systemu w razie pada, więc nie chcę za dużo kombinować jak nie muszę. Jest pomocny i wszystko jest OK, ale w tym temacie się nauczyłem nie ruszać jak działa ;)

Jeszcze jedno pytanie mam. Ciągle nie mam

[maniac777]

@FunWorld: No to staruszek. Utracił jakiekolwiek wsparcie rok temu. Plus jest taki że w przeciwieństwie do CentOS da się zaktualizować i nie jest konieczna reinstalacja.

Nie wiem dlaczego nie masz kłódki, ale przeglądarka powinna Ci powiedzieć. Albo nadal ładujesz stronę przez zwykłe HTTP, albo nadal ładujesz obiekty (np CSS, JS, obrazki, reklamy) po HTTP.

[FunWorld]

@maniac777: czyli wszystko teraz idzie po https? Kiedyś chyba tylko formularze się dawało :) Ale ze mnie dinozaur

[maniac777]

@FunWorld: Tak, dawno nie widziałem implementacji w której HTTPS byłby tylko na formularzu (no może poza Wykopem, bo tutaj tak jest).

[FunWorld]

@maniac777: A to nie zwolni drastycznie całej strony? Czyli wystarczy w .htaccess przekierować wszystko na https i będzie OK?

[maniac777]

@FunWorld: Wiesz, w czasach gdy procesory mają sprzętowe wsparcie dla szyfrowania, a przeglądarki nie negocjują nowego połączenia per obiekt i rośnie zapotrzebowanie na moc obliczeniową ze strony aplikacji i baz danych to HTTPS to jedynie promil i prawdopodobnie wielokrotnie więcej opóźnień będziesz miał na sieci niż na szyfrowaniu.

[FunWorld]

@maniac777: No to brzmi dobrze.
Wystarczy, że wkleję coś takiego?

RewriteCond %{HTTPS} off

RewriteCond %{HTTP:X-Forwarded-Proto} !https

RewriteRule ^(.*)$ https://%{HTTPHOST}%{REQUESTURI} [L,R=301]

[maniac777]

@FunWorld: Jak już to:

RewriteCond %{HTTPS} off
RewriteCond %{HTTP:X-Forwarded-Proto} !https
RewriteRule ^(.*)$ https://%{HTTPHOST}%{REQUESTURI} [L,R=301]

Ale nie powiem Ci ani tak ani nie. Nie wiem co tam masz, jak konstruujesz URLe, czy masz jakieś rewrite'y i czy masz jakiś LB od przody oraz gdzie chcesz to wstawić.

[FunWorld]

System to Drupal 6 - zaraz będzie 7.

wstawiłbym to na końcu .htaccess

Większość w pliku to cachowanie:

#
# Apache/PHP/Drupal settings:
#

# Protect files and directories from prying eyes.

Order allow,deny

# Don't show directory listings for URLs which map to a directory.
Options -Indexes

# Follow symbolic links in this directory.
Options +FollowSymLinks

# Make Drupal handle any 404 errors.
ErrorDocument 404 /index.php

# Force simple error message for

[houk]

@FunWorld: Za samo tls 1.0 masz grade B a nie C.

[FunWorld]

@houk: To nie rozumiem jak to działa. Interpretowałem to, że spadło do C. Tak czy inaczej na razie będzie musiało tak zostać. htaccess wymedytowałem, ale jest brak kłódki ze względu na mieszaną zawartość. mam nadzieję, że to nie problem dla google będzie i sam certyfikat wystarczy.

[houk]

@FunWorld: Do C Ci spadło bo nie masz obsługi TLS 1.1 i 1.2. Najwyższy protokół jaki wspiera ten system to TLS 1.0, który jest już wycofywany.